Ankara Bölge Adliye Mahkemesi 21. Hukuk Dairesi E.2019/1863 K.2021/1543

T.C.Ankara Bölge Adliye Mahkemesi .... T.C.

ANKARA

BÖLGE ADLİYE MAHKEMESİ

21.HUKUK DAİRESİ

....

... MİLLETİ ADINA

KARAR

.....

İNCELENEN DOSYANIN

MAHKEMESİ : ANKARA 9. ASLİYE TİCARET MAHKEMESİ

TARİHİ : 27/06/2019

NUMARASI ......

DAVA

Alacak (Bankacılık İşlemlerinden Kaynaklanan)

DAVA TARİHİ : 24/01/2017

KARAR TARİHİ : 16/12/2021

GEREKÇELİ KARARIN

YAZILDIĞI TARİH : 16/12/2021

Taraflar arasındaki tazminat istemine ilişkin davanın yargılaması sonunda ilamda yazılı nedenlerden dolayı davanın reddine yönelik olarak verilen hükme karşı davacı vekili tarafından süresinde istinaf kanun yoluna başvurulması üzerine dosya incelendi, gereği konuşulup düşünüldü.

DAVA

Davacı vekili dava dilekçesinde özetle; davalı bankanın ...

Şubesinin yıllardır müşterisi olan müvekkilinin 2008 yılından bu yana bankaca sağlanan internet bankacılığı sistemini kullandığını, 12.10.2016 tarihinde müvekkilinin hesabından rızası hilafına 98.000,00 TL'nin başka hesaplara havale edildiğini, 650,00 TL'lik de ...... no'lu telefona kontör yüklemesi yapıldığını, müvekkilinin banka hesabındaki mevduatının eksildiğini fark edere etmez davalı banka şubesine başvuruda bulunarak 20.000,00 TL'nin hesaba iadesini sağladığını ancak 78.650,00 TL'nin iadesinin sağlanamadığını,

elinden rızası dışında çıkan parasının iadesi için davalı bankaya 14.10.2016 tarihinde başvuran müvekkiline olumsuz yanıt verildiğini, davalı bankanın müvekkilinin uğradığı zarardan sorumlu olduğunu ileri sürerek müvekkilinin uğramış olduğu toplam 78.650,00 TL zararın, fazlaya ilişkin hakları saklı kalmak kaydıyla şimdilik 5.000,00 TL'sinin olay tarihinden itibaren işleyecek avans faiziyle birlikte davalıdan tahsiline karar verilmesini talep ve dava etmiştir.

CEVAP

Davalı vekili cevap dilekçesinde özetle; müvekkili bankanın ilgili mevzuat çerçevesinde alınması gereken gerekli güvenlik önlemlerini aldığını, dava konusu işlemlerin 12.10.2016 tarihinde müvekkili bankanın internet/mobil bankacılık şubesi aracılığıyla gerçekleştirildiğini, müvekkili bankanın log kayıtlarına göre SMS'lerin tamamının davacının müvekkili bankada kayıtlı ......numaralı telefonuna gönderildiğini, sadece müşterilerin kimlik kartlarında yer alan bilgiler kullanılarak güvenlik mekanizmasının aşılabileceğini, davacını kişisel bilgilerinin zararlı yazılım yolu ile değil sosyal mühendislik yolu ile alındığını,

davacıdan telefonla temin edilen bilgiler ve kendisine ait parola ve şifrenin paylaşımı ile online internet bankacılığına ulaşıldığını, kısmi dava olarak açılmasının usul ve yasaya aykırı olduğunu savunarak davanın reddine karar verilmesini istemiştir.

İLK DERECE MAHKEMESİ KARARI

İlk derece mahkemesince iddia, savunma ve 25/01/2019 tarihli 2.bilirkişi raporundaki tespitler ile davacının davalı banka ...

Şube Müdürlüğü'ne sunduğu 13/10/2016 tarihli dilekçesi kapsamı hep birlikte değerlendirildiğinde; somut olayda banka tarafından davacının cep telefonuna yalnızca kendisinin bilmesi gereken SMS şifresi gönderildiği, davaya konu işlemin de bu sms şifresi kullanılarak internet bankacılığına girilmek sureti ile gerçekleştirildiği, buna göre müşterinin cep telefonuna gelen doğrulama şifresini sosyal mühendislik olarak isimlendirilebilecek yöntem ile müşteriden alındığı, müşterinin özel cep telefonuna gelen sms şifresinin 3.şahısların eline geçtiğinin sabit olduğu,

davaya konu edilen işlemlerin farklı kişiler adına ve farklı işlem açıklamaları ile yapılmış olmasının, işlem silsilesi şeklinde olmamasının ve transfer edilen tutarların miktarı dikkate alındığında yapılan işlemlerin şüpheli işlem olarak değerlendirilemeyeceği, bankanın müşterisine gönderdiği şifre benzeri gizli bir bilginin müşteri tarafından 3.şahıslara paylaşılması durumunda bankanın teknik açıdan yapabileceği bir şey bulunmadığı, bankanın sistemlerindeki bir açık, zaafiyet ya da müşterinin bilgisayarındaki bir zararlı yazılım nedeniyle müşterinin kullanıcı bilgilerini dolandırıcılar tarafından ele geçirilmediği,

bankanın müşterisinin sistemde kayıtlı cep telefonuna sms şifresi gönderimi de dahil çağın ve tekniğin gerektirdiği tüm önlemleri aldığı, davalı bankaya kusur atfedilmesini gerektirecek bir durum bulunmadığı, davalı bankanın güvenlik tedbirlerindeki eksiklerden dolayı objektif özen borcunu yerine getirmeyip kusurlu olduğuna dair hiçbir teknik bulgu bulunmadığı, bilakis dosya kapsamında mevcut davacı ... tarafından ... Bankası ...

Şube Müdürlüğü'ne hitaben yazılan 13/10/2016 tarihli dilekçe kapsamında davacının telefonla dolandırıcılar tarafından aranmak sureti ile iradesinin fesada uğratıldığı, banka tarafından kendisine gönderilen sms şifresini ve onay mesajını her işlem için bu şahıslara bildirdiği açıkça anlaşıldığından somut olayın özelliği gereği davacının bu açık kabulü karşısında yeniden bilirkişi incelemesi yaptırılmasının sonucu değiştirmeyeceği kabul edilerek tamamen davacının kendi kusuru sonucu yol açtığı zararını bu eylemi gerçekleştiren kişilerden talep edebileceği gerekçesiyle davanın reddine karar verilmiştir.

İSTİNAF SEBEPLERİ

Davacı vekili istinaf dilekçesinde özetle; müvekkilinin telefonuna gelen SMS'i üçüncü kişilerle paylaştığı kabul edilse dahi davalı bankanın kusursuz sorumluluğunun söz konusu olduğunu, sosyal mühendislik yolu ile ile müvekkilinin kişisel bilgilerini öğrenen kişilerin davalı bankadan müvekkilinin ismini, soyadını, TC kimlik numarasını ve anne kızlık soyadını dahi öğrenebildiklerini, bu durum davalı bankanın güvenlik açığının bulunduğunu gösterdiğini, bankaların yapılan her EFT işlemi için müşterisine ayrı ayrı şifre göndermesi gerektiğini,

olay tarihi 12.10.2016 tarihinde saat 14:20 ile 15:24 arası toplam 12 adet para aktarma işleminin gerçekleştirildiğini, bu 12 adet işlem gerçekleştirilirken müvekkilinin cep telefonuna bu işlemler için herhangi bir şifre gönderilmediğini, davalı bankanın olay tarihinde gerçekleşen 12 adet toplam 98.000,00TL'lik işlemi şüpheli işlem niteliğinde saymayarak para akışına izin verdiğini, bir an için müvekkilinin tek kullanımlık şifreyi üçüncü kişiler ile iradesi fesada uğratılarak paylaştığı kabul edilse dahi, kusuru kabul anlamına gelmemek üzere,

bu durumun sadece müterafik kusur olarak kabul edilebileceğini ve en fazla hükmedilecek tazminattan indirime gidileceğini, usulsüz işlemlerle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağının devam ettiğini, mahkemece raporlar arasındaki çelişki giderilmeden ve hükme esas alınan ikinci bilirkişi raporuna itirazları değerlendirilmeden karar verildiğini ileri sürerek açıklanan bu nedenlerle ilk derece mahkemesince verilen kararın kaldırılmasını istemiştir.

HUKUKİ NİTELENDİRME, DELİLLERİN VE İSTİNAF SEBEPLERİNİN DEĞERLENDİRİLMESİ

Dava, internet bankacılığı yoluyla davacının işletmesine ait ticari hesabından bilgisi ve rızası dışında 3. Kişilere para gönderilmiş olması nedeniyle uğranılan zararın tazmini istemine ilişkin olup ilk derece mahkemesince yukarıda yazılı gerekçeyle davanın reddine karar verilmiştir.

Mahkemece elektrik-elektronik mühendisi ve bankacı bilirkişilerden oluşan iki kişilik bilirkişi heyetinden alınan 11.05.2018 tarihli raporda özetle; davacının davalı ... Bankası ...

Şubesinde ticari hesabından 12.10.2016 tarihinde 98.000,00 TL lik havale işlemi ile 650,00 TL lik kontör yükleme işlemlerinin gerçekleştirildiği, bu işlemlerin 20.000,00 TL'lik kısmının tekrar aynı tarihte davacının hesabına dönüşünün sağlandığı, davacıya ait hesabın üçüncü kişilerce hacklenerek, davacının bankada kayıtlı telefon numarasına gelen SMS leri farklı bir numaraya yönlendirerek EFT-havale ve diğer işlemleri gerçekleştirdikleri, işlemlere bakıldığında, banka işlemlerine ilk girilen ... numarasının 88.247.152.63 olduğu, bu ...'ninde ... ...'a ait olduğu,

ancak ... ...'dan bu ... numarasının 12.10.2016 tarihinde işlem saatlerinde kim ya da kimler tarafından kullanıldığına dair bir bilginin dosyaya sunulmadığı, ilk girişten sonra şifre değiştirme işleminin 178.240.171.170 no'lu ...'den yapıldığı ve bu ... numarasının ... GSM firmasına ait olduğu, ancak ...

GSM firmasından bu ... numarasının 12.10.2016 tarihinde işlem saatinde kim ya da kimler tarafından kullanıldığına dair bir bilginin dosyaya sunulmadığı, şifre değişikliğinden sonraki tüm EFT-havale-kontör yükleme işlemlerinin yapıldığı ... numarasının ise 176.56.162.29 olduğu, bu ...'nin ... ...

Limited adlı yabancı bir firma tarafından kullanıldığı, ancak söz konusu ... lerin kullanıcı bilgisine ulaşmanın mümkün olmadığı, banka tarafından sadece cep telefonuna gelen mesajlarla söz konusu işlemlere onay verilmesi yeterli güvenlik önlemlerinin banka tarafından alınmadığını gösterdiğini, özellikle uzun yıllardır söz konusu internet-cep telefonu-bilgisayar üçlüsü kapsamında yapıldığı sabit olarak bilindiğine göre bankanın diğer alanlarda olduğu gibi internet ortamında yapılacak işlemlerde de sistem güvenliğini sağlama yükümlülüğünün bulunduğu,

bu çerçevede bankanın mevduat hesabının güvenli bir şekilde işlem yapabilmesi için gerekli güvenlik alt yapısını hazırlamasının zorunlu olduğu, bu kapsamda, bankanın interaktif bankacılık işlemleri sırasında şifre bilgilerinin üçüncü kişilerce ele geçirilmesini önleyecek bir güvenlik mekanizması oluşturması,

kendi web sahifesinden başka yerlere yönlendirmelere engel olması ve herhangi bir usulsüz işlemle karşılaştığında gerekli önlemleri almasının yanı sıra mevduat sahiplerini de bilgilendirmesi gerektiği, sistem güvenliğinin sağlanamamasından kaynaklanan zararların sorumluluğunun bankaya ait olacağı, buna göre müşterilerin bilgisi dışında şifrelerin banka kayıtlarından elde edilmesi, para aktarma sistemlerine müdahale edilerek başka yerlere para aktarılması,

web sahifesinin taklidi suretiyle müşterilerin kandırılması gibi yollardan gerçekleştirilen usulsüz işlemlerin bankanın sorumluluğuna girdiği davacının hesaplarının internet dolandırıcılığı yöntemi ile boşaltılmasında, söz konusu iş ve işlemlerin yapılmasında tali kusurlu, davalı bankanın davacı hesaplarında meydana gelen söz konusu işlemlerde, davacı bankanın sadece telefon sim kartı işlemlerinin yapılmasına SMS ile onay vermemesi, elektronik imza ile ya da farklı yöntemlerle denetlenebilen bir güvenlik sistemi kurması gerektiği bu nedenle asli kusurlu olduğu belirtilmiştir.

Mahkemece bilirkişi heyetine mahkemece elektrik ve elektronik yüksek mühendisi bilgi ve iletişim teknoloji uzmanı dahil edilerek alınan 25.01.2019 tarihli bilirkişi raporunda özetle: davacının ...

Bankası .../Çankırı şubesi nezdinde bulunan hesabından 12.10.2016 tarihinde saat 14:04:54-15:33:51 zamanları arasında internet bankacılığı aracılığı ile 176.55.162.29 ... nosu üzerinden para transferleri (EFT ve havale) ve fatura ödemelerinin yapıldığı, zararın oluştuğu işlemlerden önce 12.10.2016 tarihinde saat 11:24:24 'te müşterinin bankanın sisteminde kayıtlı ... numaralı cep telefonuna SMS ile SMS şifresi ve/onay kodunun gönderildiği, 11:25:15 zamanında şifre girilerek internet bankacılığına erişildiği, işlemin 88.247.152.63 ... nosu üzerinden yapıldığı, saat 14:04:54 zamanında şifre değişimi yapıldığı,

işlemin 178.240.171.170 ... no'su üzerinden yapıldığı, saat 14:07:29 'da müşterinin bankanın sisteminde kayıtlı.... numaralı cep telefonuna 14:07:49 zamanında SMS ile SMS şifresi ve onay kodunun gönderildiği, bu şifrenin 14:07:57'de müşterinin telefonuna iletildiği, 14:08:32 'de şifre girilerek internet bankacılığına erişildiği, işlemin 176.55.162.29 ... nosu üzerinden yapıldığı, 14:20:30 dan 15:24:50 ye kadar olan süre içerisinde davaya konu edilen para transferi işlemlerinin gerçekleştirildiği,

somut olayda bankanın sistemlerindeki bir açık, zafiyet ya da müşterinin bilgisayarındaki bir zararlı yazılım nedeniyle müşterinin kullanıcı bilgilerinin dolandırıcılar tarafından el geçirilmediği, yapılan işlemlerin şüpheli bir işlem (örneğin, yüksek bir tutar ya da ardışık bir şekilde kontör alımı ve benzeri işlemler silsilesi) olduğu halde bankanın bunu fark ederek gerekli önlemleri almaması şeklinde bir durumun söz konusu olmadığı, banka tarafından, müşterinin bankanın sisteminde kayıtlı cep telefonuna SMS şifresi gönderimi de dahil çağın ve tekniğin gerektirdiği tüm önlemleri aldığı,

davalı bankanın güvenlik tedbirlerindeki eksikliklerinden dolayı objektif özen borcunu yerine getirmeyip kusurlu olduğuna dair hiçbir teknik bulgunun bulunmadığı belirtilmiş, bilirkişi Dr. ... tarafından kök rapordaki görüşünde değişiklik olmadığına, ek rapordaki görüşe katılmadığına dair şerh düşülmüştür.

Davacı tarafından 14.10.2016 tarihinde davalı bankanın ... Şube Müdürlüğüne yazmış olduğu dilekçede. 12.10.2016 günü saat 13:56'da bankanın çağrı merkezinden aranarak Kıbrıs bağlantılı bir bahis firmasının ...

Bankası kredi kartından 682 TL'lik yapılan harcamanın bilgisi dahilinde olup olmadığının sorulması üzerine bilgisi dahilinde olmadığını söylediğini ve kredi kartını iptal ettirdiğini, daha sonra internet bankacılığının da güvenli hale gelmesi için onun da iptali gerektiğini söylediklerini, banka adına arayanların TC kimlik nosunu, adını soyadını, annesini kızlık soyadını kendisine söylediklerini, sistem tarafından gönderilecek SMS içeriğinin bildirilmesi gerektiğini, gönderilen SMS'in de davalı bankanın "..." açıklamasıyla geldiğini, bunun üzerine mesajı paylaştığını, hesabından EFT ve havaleler yapıldığını,

98.000 TL nin hesabına havale edilmesini istemiştir.

Davacı tarafından kendisinin müştekisi olduğu olay sebebiyle Bakırköy Cumhuriyet Başsavcılığı tarafından olayın sanıkları hakkında Bakırköy Ağır Ceza Mahkemesi'ne 14.10.2019 tarihli iddianame ile kamu davasının açıldığına dair iddianame örneği ibraz edilmiştir.

BDDK'nın 1 Kasım 2006 tarih ve ... sayılı ... Gazete'de yayımlanan ve bankalar için risk kabul edilen ve sermayelerini bu riskler de gözönüne alınarak belirlemeleri gerektiğine ilişkin düzenleme getiren yönetmeliğin 3/n maddesinde "bilgi teknolojileri sistemlerindeki hata ve aksamalar" opsiyonel risk adı altında kabul edilmiştir. Buna göre, bankaların internet bankacılığında olabilecek açıklıkları bilerek bunun sonuçlarını göze alarak bu hizmeti verdikleri anlaşılmaktadır.

Bankalar kendilerine yatırılan paraları mudilere istendiğinde veya belli bir vadede ayni veya misli olarak iade etmekle yükümlüdür. (4491 Sayılı Kanun ile değişik 4389 Sayılı Bankalar Kanunu'nun 10/4 ve 5411 Sayılı Bankacılık Kanunu'nun 61. maddesi ). Bu tanımlamaya göre, mevduat ödünç ile usulsüz tevdi sözleşmelerinin niteliklerini taşıyan kendine özgü bir sözleşmedir. TBK'nın 386. ve 387. (818 sy.

BK'nın 306 ve 307.) maddeleri uyarınca ödünç alan, akdin sonunda ödünç verilen parayı eğer kararlaştırılmışsa faizi ile iadeye mecburdur. Aynı Yasa'nın 570/1. maddesi uyarınca usulsüz tevdide paranın yararı ve hasarı mutlak şekilde saklayana geçtiği için ayrıca açıklamaya gerek kalmadan saklayan bu parayı kendi yararına kullanabilir.

Bu açıdan değerlendirildiğinde, usulsüz işlemle çekilen paralar aslında doğrudan doğruya bankanın zararı niteliğinde olup, mevduat sahibinin bankaya karşı alacağı aynen devam etmektedir. Usulsüz işlemlerin gerçekleşmesinde ispatlandığı takdirde mevduat sahibinin müterafık kusurundan söz edilebilir ve banka bu kusur oranı üzerinden hesap sahibinin alacağından mahsup talebinde bulunabilir.

Yukarıda yapılan açıklamalar ışığında davacı vekilinin istinaf sebepleri değerlendirilecek olursa;

Somut olayda, davacının davalı banka nezdindeki TL cinsinden vadeli mevduat hesabındaki 98.000,00 TL'nin davacının bilgisi ve rızası dışında 12.10.2016 günü saat 14:20:30 ile 15:24:50 arasında 11 ayrı işlemle 3. Kişilerin hesabına internet bankacılığı yoluyla 98.000,00 TL havale edildiği,

aynı tarihte ayrıca 15:33:51 ile 15:28:09 arasında 5 adet fatura ödeme işleminin davacının davalı banka sisteminde kayıtlı cep telefonunun olay tarihinde davalı bankanın çağrı merkezinden aranarak davalı bankaca gönderilen onay şifresi temin edilmek suretiyle internet bankacılığı yoluyla davacının hesabına erişilmek suretiyle gerçekleştirilen olayda, 3 ayrı ... adresi üzerinden söz konusu işlemlerin yapılmış olduğu,

70 dakika içerisinde gerçekleştirilen gerek farklı 3. Kişilere 11 defada EFT/havale yolu ile para trasferleri gerekse 3.Kişilere ait 5 adet fatura ödeme işlemlerinde davacının banka nezdindeki cep telefonuna davalı bankaca SMS yoluyla gönderilen şifreler girilerek davacı tarafından gerçekleştirildiği iddia edilmiş ise de davacının vadeli mevduat hesabındaki paranın 3. Kişilere transfer edilmesi için gönderilen onay şifresini içerir SMS'lerin davacının cep telefonuna ulaştığı belirlenmediği gibi 70 dakika gibi kısa bir sürede 11 defada EFT/havale yolu ile farklı 3. Kişilerin hesabına para transfer edilerek davacının hesabındaki 98.000,00

TL'nin gönderilmesi, davalı bankanın güvenlik sistemi tarafından "Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ'in 26/2.

Maddesi hüküm gereği olağan dışı ve şüpheli bulunmaksızın söz konusu işlemlerin yapılmasına izin verilmiş, davacının başvurusu üzerine davalı bankaca, davacının hesabından ... hesabına 12.10.2016 tarihinde havale edilen 20.000,00 TL'nin 18.12.2016 tarihinde davacının hesabına iade edilmiş olduğuna göre davacının hesabına iade edilen bu meblağ yönünden davacının zararının doğmadığının kabulü gerekmiştir.

Şu halde 3. Kişilerin hesabına havale edilen davacı hesabındaki paranın bir kısmı davalı bankaca davacıya, 14.10.2016 tarihli olayı anlatan dilekçesi ile başvurusu üzerine iade edildiğine göre, davalı bankanın olay tarihinde gerekli güvenlik tedbirlerini de almadığı kabulündedir.

İlk derece mahkemesince usul ve yöntemine uygun olarak alınan, dosya kapsamına ve oluşa uygun, objektif, denetime ve hüküm kurmaya elverişli bulunan bilgisayar mühendisi ve bankacı bilirkişilerden oluşan bilirkişi heyeti tarafından düzenlenen ilk bilirkişi raporunda; olay tarihinde sadece işlemlere SMS onay şifresi göndermek suretiyle onay vermemesi, elektronik imza ya da farklı denetlenebilen bir güvenlik sistemi kurması gerektiği belirtilerek davacının oluşan zararında davalı bankanın ağır kusurlu olduğu tespit edilmiş olmakla, Dairemizce davalı bankanın davacının zararının oluşmasında %70 oranında kusurlu olduğu sonucuna varılarak,

davacının olay sebebiyle doğan toplam 78.650,00 TL zararının davalı bankanın kusur oranına %70 karşılık gelen toplam 55.055,00 TL'lik kısmını davalı bankadan talep edebilecektir.

Ne var ki, davacının davalı bankaya vermiş olduğu 14.10.2016 tarihli başvuru dilekçesi içeriği gözetildiğinde davacının kendisine gelen onay şifresini davalı bankanın çağrı merkezi olduğunu sandığı kişilerle paylaştığı anlaşıldığından, davacının da zararın oluşumunda %30 oranında müterafik kusurunun bulunduğunun kabulü ile davacının doğan zararının kendi kusur oranına karşılık gelen 23.595,00 TL zarara katlanması gerektiği değerlendirilmiştir.

Yukarıda açıklanan nedenlerle, davacı vekilinin istinaf sebeplerinin kabulü ile duruşma açılmasına gerek görülmeksizin ilk derece mahkemesince verilen karar HMK'nın 353/1-b-2. Maddesi gereği kaldırılarak fazlaya ilişkin hakları saklı tutularak 5.000,00 TL üzerinden açılan davacının kısmi tazminat davasının kabulü ile söz konusu tazminata haksız fiilin gerçekleştiği olay tarihi olan 12.10.2016 tarihinden itibaren avans faizi işletilerek davalıdan tahsiline dair davanın esası hakkında yeniden aşağıdaki şekilde hüküm kurmak gerekmiştir.